госы. ГОСы шпоры. Теория информационной безопасности и методология защиты информации Система обеспечения информационной безопасности в Российской Федерации. 1 Понятие система обеспечения информационной безопасности
 Скачать 2.75 Mb.
|
|
3. Угрозы безопасности информации. 3.1 Понятие «угроза безопасности информации». Причины возникновения угроз безопасности информации. Классификация и характеристика угроз. Угроза информационной безопасности — совокупность условий и факторов, создающих опасность нарушения информационной безопасности. Угрозы информационной безопасности можно классифицировать по различным признакам. По аспекту информационной безопасности, на который направлены угрозы, выделяют: • Угрозы конфиденциальности. Они заключаются в неправомерном доступе к конфиденциальной информации. • Угрозы целостности. Эти угрозы означают любое преднамеренное преобразование данных, содержащихся в информационной системе. • Угрозы доступности. Их осуществление приводит к полной или временной невозможности получения доступа к ресурсам информационной системы. По степени преднамеренности действий угрозы делят на: • Случайные. Эти угрозы не связаны с умышленными действиями правонарушителей; осуществляются они в случайные моменты времени. Источниками этих угроз могут служить стихийные бедствия и аварии, ошибки при разработке информационной системы, сбои и отказы систем, ошибки пользователей и обслуживающего персонала. Согласно статистическим данным, эти угрозы наносят до 80 % от всего ущерба, наносимого различными видами угроз. Однако следует отметить, что этот тип угроз довольно хорошо изучен, и имеется весомый опыт борьбы с ними. Снизить потери от реализации угроз данного класса помогут такие меры, как: использование современных технологий для разработки технических и программных средств, эффективная эксплуатация информационных систем, создание резервных копий информации. • Преднамеренные. Они, как правило, связаны с действиями какого-либо человека, недовольного своим материальным положением или желающего самоутвердиться путём реализации такой угрозы. Эти угрозы можно разделить на пять групп: шпионаж и диверсии, несанкционированный доступ к информации, электромагнитные излучения и наводки, модификация структуры информационных систем, вредительские программы. В отличие от случайных, преднамеренные угрозы являются менее изученными за счет их высокой динамичности и постоянного пополнения новыми угрозами, что затрудняет борьбу с ними. По расположению источника угроз: •Внутренние. Источники этих угроз располагаются внутри системы. •Внешние. Источники данных угроз находятся вне системы. По степени зависимости от активности информационной системы: •Угрозы, реализация которых не зависит от активности информационной системы. •Угрозы, осуществление которых возможно только при автоматизированной обработке данных. По размерам наносимого ущерба: • Общие. Эти угрозы наносят ущерб объекту безопасности в целом, причиняя значительное отрицательное влияние на условия его деятельности. • Локальные.. Угрозы этого типа воздействуют на условия существования отдельных частей объекта безопасности. • Частные. Они причиняют вред отдельным свойствам элементов объекта или отдельным направлениям его деятельности. По степени воздействия на информационную систему: • Пассивные. При реализации данных угроз структура и содержание системы не изменяются. • Активные. При их осуществлении структура и содержание системы подвергается изменениям. Причины: 1. Преднамеренные - исходят от людей 1) Желание получить выгоду 2) Желание нанести вред 2. Непреднамеренные 1) Недостатки ТС 2) Недостатки технологий функционирования/обработки инфы и пр. 3) Перегрузки ТС 3.2 Разработка моделей угроз безопасности информации конкретной организации. В соответствии с Методическими рекомендациями по обеспечению с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации (от 21 февраля 2008 года): ГОСТ Р 50922-2006 – «Защита информации. Основные термины и определения»: Модель угроз (безопасности информации) – физическое, математическое, описательное представление свойств или характеристик угроз безопасности информации. «Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных»: Угрозы безопасности персональных данных - совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение персональных данных, а также иных несанкционированных действий при их обработке в информационной системе персональных данных. Проще говоря, угроза – это «дыра» в системе защиты. Угроза может привести к утечке (уничтожению, модификации), а может и нет. Наличие угрозы свидетельствует лишь о наличии возможности несанкционированного доступа к данным. Модель угроз безопасности персональных данных необходима для определения требований к системе защиты. Без модели угроз невозможно построить адекватную (с точки зрения денежных затрат) систему защиты информации, обеспечивающую безопасность персональных данных. Порядок разработки модели угроз определен в документах ФСТЭК: - «Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных», Федеральная служба по техническому и экспортному контролю, 2008 год - «Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных», Федеральная служба по техническому и экспортному контролю, 2008 год. «Базовая модель» содержит систематизированный перечень угроз безопасности персональных данных при их обработке в информационных системах персональных данных. Многие эксперты по защите информации весьма скептически относятся к этому документу. Угрозы, приведенные в базовой модели, устарели и далеко не всеобъемлющи. Однако за неимением лучшего приходится довольствоваться текущей редакцией документа. Документ «Методика определения актуальных угроз» содержит алгоритм оценки угрозы. Путем несложных расчетов определяется статус каждой вероятной угрозы. Модель угроз обычно содержит: 1. Описание ИС; 2. Модель нарушителя; 3. Возможные угрозы от каждого источника. порядок: Определение исходных данных для построения частной модели угроз. Выявление угроз ПД. Составление перечня источников угроз. Формирование перечня актуальных угроз. 3.3 Определение актуальности угроз. Короч, у ФСТЭКа есть документ «Методика определения актуальных угроз» . Расчет не сложный, но копировать простыню нормативного документа хз надо ли. Актуальной считается угроза, которая может быть реализована в ИСПДн и представляет опасность для ПДн. Подход к составлению перечня актуальных угроз состоит в следующем. Для оценки возможности реализации угрозы применяются два показателя: уровень исходной защищенности ИСПДн и частота (вероятность) реализации рассматриваемой угрозы. Рисуем две соответствующие таблички, в защищенности (высокая, низкая,средняя и соответствующие баллы начисляем) , вероятность тоже оценивается баллами и как-то это сопоставив делаем вывод об актуальности угрозы. Таблица выглядит примерно так:
3.4 Ущерб организации в результате реализации угроз безопасности информации. УЩЕРБ - Утрата активов, повреждение (утрата свойств) активов и (или) инфраструк туры организации или другой вред активам и (или) инфраструктуре организации банковской системы Российской Федерации, наступивший в результате реализации угроз ИБ через уязвимости ИБ. Проявления возможного ущерба могут быть различны: написано сложно, я думаю просто материальный и нематериальный достаточно указать и привести примеры моральный и материальный ущерб деловой репутации организации; моральный, физический или материальный ущерб, связанный с разглашением персональных данных отдельных лиц; материальный (финансовый) ущерб от разглашения защищаемой (конфиденциальной) информации; материальный (финансовый) ущерб от необходимости восстановления нарушенных защищаемых информационных ресурсов; материальный ущерб (потери) от невозможности выполнения взятых на себя обязательств перед третьей стороной; моральный и материальный ущерб от дезорганизации деятельности организации; материальный и моральный ущерб от нарушения международных отношений. Ущерб может быть причинен каким-либо субъектом и в этом случае имеется на лицо правонарушение, а также явиться следствием независящим от субъекта проявлений (например, стихийных случаев или иных воздействий, таких как проявления техногенных свойств цивилизации). В первом случае налицо вина11 субъекта, которая определяет причиненный вред как состав преступления, совершенное по злому умыслу (умышленно, то есть деяние совершенное с прямым или косвенным умыслом2) или по неосторожности (деяние, совершенное по легкомыслию, небрежности3, в результате невиновного причинения вреда4) и причиненный ущерб должен квалифицироваться как состав преступления, оговоренный уголовным правом. Во втором случае ущерб носит вероятностный характер и должен быть сопоставлен, как минимум с тем риском, который оговаривается гражданским, административным или арбитражным правом, как предмет рассмотрения. В теории права под ущербом понимается невыгодные для собственника имущественные последствия, возникшие в результате правонарушения. Ущерб выражается в уменьшении имущества, либо в недополучении дохода, который был бы получен при отсутствии правонарушения (упущенная выгода). При рассмотрении в качестве субъекта, причинившего ущерб какую-либо личность, категория "ущерб" справедлива только в том случае, когда можно доказать, что он причинен, то есть деяния личности необходимо квалифицировать в терминах правовых актов, как состав преступления. Поэтому, при классификации угроз безопасности информации в этом случае целесообразно учитывать требования действующего уголовного права, определяющего состав преступления. 3.5 Виды ущерба. Структура прямых и косвенных потерь при реализации угроз безопасности информации. моральный и материальный ущерб деловой репутации организации; моральный, физический или материальный ущерб, связанный с разглашением персональных данных отдельных лиц; материальный (финансовый) ущерб от разглашения защищаемой (конфиденциальной) информации; материальный (финансовый) ущерб от необходимости восстановления нарушенных защищаемых информационных ресурсов; материальный ущерб (потери) от невозможности выполнения взятых на себя обязательств перед третьей стороной; моральный и материальный ущерб от дезорганизации деятельности организации; материальный и моральный ущерб от нарушения международных отношений. По своей сути любой ущерб, его определение и оценка имеют ярко выраженную экономическую основу. Не является исключением и ущерб, наносимый информационной безопасности объекта (предприятия). С позиции экономического подхода общий ущерб информационной безопасности предприятия складывается из двух составных частей: прямого и косвенного ущерба. Прямой ущерб информационной безопасности предприятия возникает вследствие утечки конфиденциальной информации. Косвенный ущерб — потери, которые несет предприятие в связи с ограничениями на распространение информации, в установленном порядке отнесенной к категории конфиденциальной. Общий ущерб безопасности предприятия от утечки конфиденциальной информации определяют следующим образом. Проводят классификацию всех имеющихся на предприятии сведений по степени их важности. С этой целью методом экспертной оценки с привлечением специалистов структурных подразделений предприятия, участвующих в выполнении работ по различным направлениям его деятельности, разрабатывают единую шкалу сведений, содержащих конфиденциальную информацию — так называемый рейтинг важности информации. В рейтинге отражаются все сведения, включенные в перечни информации, подлежащей защите. Методической основой для разработки такого рейтинга служит метод экспертного анализа в совокупности с методом объективного количественного оценивания. На основе рейтинга важности информации сопоставляют (соотносят) включенные в него сведения с количественными показателями возможного ущерба, определяемого расчетным или экспертным путем. 4. Каналы и методы несанкционированного доступа к информации. методы и пути утечки информации из информационной системы; паразитная (нежелательная) цепочка носителей информации, один или несколько из которых являются (могут быть) правонарушителем или его специальной аппаратурой. Играют основную роль в защите информации, как фактор информационной безопасности. 4.1 Понятие и сущность канала несанкционированного доступа к информации и канала утечки информации. Различия между этими видами каналов, их состав и общая характеристика. Специально создаваемые и потенциально существующие каналы НСД. Канал утечки информации – путь неправомерного выхода информации за пределы защищаемой зоны ее функционирования, или установленного круга лиц. Канал несанкционированного доступа – путь, используя который, можно получить неразрешенный, преднамеренный или случайный доступ к защищаемой информации. В зависимости от физической природы возникновения информационных сигналов, а также среды их распространения и способов перехвата, технические каналы утечки информации можно разделить на электромагнитные, электрические, параметрические и вибрационные. Состав и характеристика каналов несанкционированного доступа. 1. Каналы оперативной связи a. Каналы оперативной телефонной связи. b. Радиосвязь 2. Переписка по служебным вопросам a. Публикация материалов в открытой печати, либо оглашение их по радио/ТВ; b. Переписка с иностранцами, телефонные переговоры; c. Подготовка различных научных трудов, включающих защищаемую информацию; d. Нарушение установленных правил государственной регистрации НИОКР; e. Ведение конфиденциального делопроизводства с нарушением требований нормативных актов; f. Патентно-лицензионная и изобретательская работа (открытая переписка по закрытой тематике, самостоятельная переписка без ведома патентного подразделения; 3. Материальные потоки – доступ к защищаемой информации во время ее перевозки 4. Техничсеские каналы 5. Внешние «окна» - визуально-оптические каналы дистанционного доступа. 6. Людские потоки a. Прием и увольнение сотрудников b. Посещение предприятия командированными лицами c. Нарушение при проведение конфиденциальных работ d. Нарушение правил доступа сотрудников к защищаемой информации e. Выезд сотрудников за рубеж f. Нарушение пропускного и внутреннего режима g. Неправильная организация прохождения практики студентами h. Посещение выставок сотрудниками предприятия i. Курсы повышения классификации. Методы несанкционированного доступа. 1. Психологический 2. Прямое подслушивание 3. Визуальный съем 4. Отходы 5. Мониторинг открытых источников 6. Анализ архитектурных особенностей (Еще немного инфы про каналы) Лишняя инфа К каналам несанкционированного доступа к конфиденциальной информации относятся: 1. Установление контакта с лицами, имеющими или имевшими доступ к конфиденциальной информации; 2. Вербовка и (или) внедрение агентов; 3. Организация физического проникновения к носителям конфиденциальной информации; 4. Подключение к средствам отображение, хранения, обработки, воспроизведения и передачи информации средствам связи; 5. Прослушивание речевой конфиденциальной информации; 6. Визуальный съем конфиденциальной информации; 7. Перехват электромагнитных излучений; 8. Исследование выпускаемой продукции, производственных отходов и отходов процессов обработки информации; 9. Изучение доступных источников информации; 10. Подключение к системам обеспечения производственной деятельности предприятия; 11. Замеры и взятие проб окружающей объект среды; 12. Анализ архитектурных особенностей некоторых категорий объектов. 4.2 Методы несанкционированного доступа к информации, применяемые при использовании каждого канала. Методы несанкционированного доступа. 1. Психологический (инициативное сотрудничество; подкуп;сотрудничество под угрозой.) 2. Прямое подслушивание 3. Визуальный съем: - визуально-оптическое; - с помощью приборов наблюдения в ИК-диапазоне; - наблюдение с консервацией изображения (фото- и киносъемка); - телевизионное наблюдение, в том числе и с записью изображения; - лазерное наблюдение; - радиолокационное наблюдение; - радиотеплолокационное наблюдение. 4. Отходы 5. Мониторинг открытых источников 6. Анализ архитектурных особенностей 4.3 Классификация каналов несанкционированного доступа к информации. Состав и характеристика каналов несанкционированного доступа. Повтор 1. Каналы оперативной связи a. Каналы оперативной телефонной связи. b. Радиосвязь 2. Переписка по служебным вопросам a. Публикация материалов в открытой печати, либо оглашение их по радио/ТВ; b. Переписка с иностранцами, телефонные переговоры; c. Подготовка различных научных трудов, включающих защищаемую информацию; d. Нарушение установленных правил государственной регистрации НИОКР; e. Ведение конфиденциального делопроизводства с нарушением требований нормативных актов; f. Патентно-лицензионная и изобретательская работа (открытая переписка по закрытой тематике, самостоятельная переписка без ведома патентного подразделения; 3. Материальные потоки – доступ к защищаемой информации во время ее перевозки 4. Техничсеские каналы 5. Внешние «окна» - визуально-оптические каналы дистанционного доступа. 6. Людские потоки a. Прием и увольнение сотрудников b. Посещение предприятия командированными лицами c. Нарушение при проведение конфиденциальных работ d. Нарушение правил доступа сотрудников к защищаемой информации e. Выезд сотрудников за рубеж f. Нарушение пропускного и внутреннего режима g. Неправильная организация прохождения практики студентами h. Посещение выставок сотрудниками предприятия i. Курсы повышения классификации. 4.4 Понятие «атаки» на информационную систему. Основные методы реализации атак на информационные системы. |